你好 Jamba,

Kennt denn jemand ein betroffenes Forum?

Mehrere, sind inzwischen aber alle offline.

再见,
 CK

Hello,

Deshalb fragte ich ja nach einer Art Checkliste mit Handlungsanweisung.
Wenn es so etwas nicht gibt, sollte man die Gelgenheit nutzen und dieses Thema in diesem Thread ausführlich erörtern.

Diese "Würmer" suchen ja nicht Zugang über die sichtbaren Parameter in $_GET, $_POST, $_COOKIE. Die sind meistens nicht gefährdet, da sie i.d.R. im Script mit etwas festgelegtem verglichen werden.

Wie werden aber Werte festgelegt?

In welcher Reihenfolge werden Parmeter in Scriptvariablen übertragen?

Besonders gefährdet sind diejenigen Scripte, die mit NICHT INITIALISIERTEN VARIABLEN arbeiten, es also auf eine Notice ankommen lassen würden. Wenn nun diese Variable durch einen externen Paramter beschrieben wird (der eigentlich gar nicht vorgesehen war), dann schleppt man sich eben unbekannte Werte oder sogar Code ein.

Besonders gefährdet sind da die "Includer", die Scriptteile aufgrund einer externen Filename-Angabe dazuladen.

index.php?site=start

und dann im Script stehen haben:

echo $header;
   if (isset($site))
   {
     include "$site.php";
   }
   else
   {
     include $standard;
   }

echo $footer;

Nur so kurz angedeutet, was da eben gerne bei den gebastelten "CMS" gerne gemcht wird. Und wenn man dann darauf hinweist, bekommt man oft die Antwort "... wieso denn, funktioniert doch ...".

Mesitens ist fopen als Wrapper erlaubt, und man kann auf diese Weise wunderbar Code von einem externen Server dazuladen. Der kann dann leicht ein Universal-Install-Script (Upload) auf dem Server hinterlassen und schon ist das Ding vorbereitet für spätere Verwendung.

Harzliche Grüße aus http://www.annerschbarrich.de

Tom

Hallo Tom,

Deshalb frgate ich ja nach einer Art Checkliste mit Handlungsanweisung.
Wenn es so etwas nicht gibt, sollte man die Gelgenheit nutzen und dieses Thema in diesem Thread ausführlich erörtern.

Hier nur mal ein paar Sachen, die mir gerade einfallen und von denen ich meine, dass man sie beachten muss.

* register_globals deaktivieren, sofern dies möglich ist. Zwar sollten alle
  Scripte so geschrieben sein, dass auch mit register_globals keine Gefahr
  besteht, aber einen Fehler kann man immer machen.
* Alle Variablen vor ihrem Gebrauch initialisieren, es kann ja sein, dass das
  Script auch mal auf einem Server ausgeführt wird, wo register_globals
  aktiviert ist.
* _Niemals_ User-Eingaben über $_GET, $_POST, $_REQUEST, $_COOKIE oder andere
  Wege vertrauen. Das heißt insbesondere, diese Daten...
    * Nicht als Parameter für fopen, include oder andere Operationen mit Dateien
      verwenden.
    * Nicht als Parameter für eval verwenden.
    * Wenn die Daten in eine Datenbank geschrieben werden, müssen sie vorher
      mit den entsprechenden Funktion (mysql_escape_sting, pg_escape_string,
      sqlite_escape_string, ...) behandelt werden.
    * Daten, die entweder direkt oder indirekt (zum Beispiel als gespeicherte
      Daten) vom Besucher eingeben wurden, vor der Ausgabe immer mit
      htmlspecialchars oder strip_tags behandeln. Soll der User trotzdem die
      Möglichkeit haben, den Text zu formatieren, besser eine eigene
      Syntax wie BB-Code verwenden.

Das sind jetzt erstmal nur die Sachen, die mir in der Schnelle in Bezug auf dieses Thema eingefallen sind. Die Liste erhebt natürlich deshalb keinen Anspruch auf Vollständigkeit ;-) Wenn noch jemanden mehr einfällt, bitte hinzufügen.

Schöne Grüße und euch allen noch frohe Weihnachten,

Johannes

Helo lieber Tom,

Benutzereingaben sind schon immer die Geisel der Programmierer ;-)

wie meinst Du das jetzt?

Beispiel:

1996 hab ich mal 1 DIN A4 Seite in c geschrieben womit es dem User möglich war, ein Datum, bestehend aus Zahlen, und nichts weiter aus Zahlen der Form /01 01 1970/ einzugeben um den zugehörigen Wochentag zu diesem Datum herauszukriegen. Letzteres tat eine Funktion, die war eine halbe Seite lang.

Aufwand 'Filter User' : 'Eigentliches Program' = > 2:1

Kürzlich schrieb ich ein Zeiterfassungs - Script womit der User Kommen- und Gehenzeiten in unterschiedlichen Zeitarten eingeben kann. Was soll ich sagen, das Speichern der Zeiten in einer Datenbank ist ja banal, aber die Prüfung, dass es da keine überlappenden Zeiten gibt ist so ein richtiger Krebs geworden, was einen Großteil des Scripts ausmacht.

***

Du schreibst, dass Du mich zitieren willst. Natürlich darfst Du das, aber sei bitte sogut und schicke mir eine Referenz, wo Du das machst.

Viele Grüße, Rolf

***

Ulbricht war auf dem Brocken und wurde gefragt was er von da oben gesehen hat. Seine Antwort war kurz und knapp: Elend und Sorge!